RDS MySQL禁止直接迁移mysql.user表或GRANT语句，因其禁写系统库且权限模型不同：账号须通过控制台或CREATE USER显式创建，GRANT语句需过滤SUPER/FILE等不支持权限、删除WITH GRANT OPTION，并替换DEFINER为RDS中已存在用户。
不能直接迁移自建 MySQL 的 mysql.user 表或用 mysqldump 导出权限语句来还原到 RDS MySQL —— RDS 禁止直接操作系统库，且权限模型与自建存在关键差异。
为什么 RDS 不允许用 mysqldump 迁移权限
RDS MySQL 限制对 mysql 系统库的写入（包括 INSERT/UPDATE/REPLACE），mysqldump 导出的 GRANT 语句在导入时会报错 ERROR 1044 (42000): Access denied for user。即使加了 --skip-extended-insert 或手动改写为 CREATE USER+GRANT，也会因 RDS 的账号体系约束失败：RDS 要求所有账号必须通过控制台或 CREATE USER 显式创建，且密码策略、角色绑定、IP 白名单等均由管控层强校验。
正确迁移权限的三步实操路径
核心原则：**只迁移逻辑权限定义，不迁移物理账号状态；账号需在 RDS 中重新创建，再按需赋权。**
解析 MySQL 8.0 的 DDL 脚本，并将表结构导出为 Excel 格式。适用于用户需将 MySQL 的 `CREATE TABLE` 语句转换为结构化的 Excel 文件场景，导出内容包含字段名、数据类型、长度及精度等信息。支持多张表的批量处理，每张表对应 Excel 中的一个独立工作表。适用于数据库文档编写、数据字典生成及模式分析等任务。
- 从自建库提取干净的
GRANT语句：用SELECT CONCAT('SHOW GRANTS FOR ''',user,'''@''',host,''';') FROM mysql.user WHERE user != 'root';生成查询，再逐条执行SHOW GRANTS并保存结果，过滤掉IDENTIFIED BY PASSWORD和系统账号（如mysql.session） - 在 RDS 控制台创建对应账号：注意勾选「设置密码过期策略」和「允许访问的 IP 地址」，若原自建账号使用通配符主机（如
'user'@'%'），RDS 要求显式填写具体 IP 段或选择「不限制」（生产环境慎选） - 用提取的
GRANT语句在 RDS 中重放：仅保留GRANT ... ON db.table TO 'user'@'host';结构，删掉WITH GRANT OPTION（RDS 不支持该选项），并确保目标数据库已存在（DTS 迁移结构时不会自动创建账号，但会建库）
容易被忽略的权限兼容性坑
RDS MySQL 对权限粒度有额外限制，直接照搬自建语句会失败：
-
FILE、PROCESS、SUPER、REPLICATION CLIENT等管理类权限在 RDS 中不可授予，相关语句必须删除 - 自建库中给
DEFINER为root@localhost的视图/存储过程赋权，RDS 不识别该用户，需先用ALTER DEFINER改为 RDS 中已存在的账号（如'app_user'@'%'），再授EXECUTE权限 - 若原自建库启用了
sql_mode=STRICT_TRANS_TABLES，而 RDS 默认未开启，部分含隐式转换的GRANT语句（如列级权限带函数表达式）可能解析失败，建议统一关闭 strict mode 后再执行
增量权限变更如何同步
DTS 迁移任务本身不捕获权限变更（GRANT/REVOKE 不写 binlog），所以迁移完成后新产生的权限调整必须人工同步：
- 将 RDS 账号变更纳入 CI/CD 流程：用 Terraform 或阿里云 CLI 的
aliyun rds CreateAccount+GrantAccountPrivilege接口自动化创建与授权 - 禁止在 RDS 上直接运行
FLUSH PRIVILEGES：RDS 权限缓存由管控服务统一刷新，手动执行无效果且日志报错 - 定期比对：用
SELECT user, host FROM mysql.user在自建和 RDS 分别查账号列表，再用SHOW GRANTS FOR核对关键账号权限是否一致
最麻烦的不是导出和重放，而是清理那些在自建库里长期没人用、但权限开得过宽的账号——RDS 的最小权限原则会让你立刻暴露历史技术债。动手前先跑一遍 SELECT user, host, account_locked FROM mysql.user WHERE account_locked = 'Y';，把僵尸账号筛出来，别一股脑全迁过去。
